CVE-2026-52680
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Apache Kyuubi w wersjach od 1.7.0 do 1.11.1 jest podatny na atak typu path traversal podczas obsługi wieloczęściowego przesyłania plików REST batch. Atakujący może podać sekwencje path traversal w nazwie pliku, co pozwala na zapis treści poza zamierzonym katalogiem.
Ocena ryzyka
Zdalny atakujący może zapisać kontrolowaną treść w dowolnym miejscu systemu plików, co może prowadzić do naruszenia integralności danych lub eskalacji uprawnień.
Rekomendacja
Zaleca się aktualizację Apache Kyuubi do wersji 1.12.0, która zawiera poprawkę.
Inne podatności w Apache Kyuubi
Zobacz wszystkie- CVE-2025-66518Wysokie
Każdy klient mający dostęp do serwera Apache Kyuubi przez protokoły frontendowe może ominąć konfigurację serwera kyuubi.session.local.dir.allow.list i używać lokalnych plików, które nie są na tej liście. Podatność dotyczy wersji od 1.6.0 do 1.10.2.
- CVE-2026-62391Wysokie
Poprawka bezpieczeństwa dla CVE-2025-66518 w Apache Kyuubi jest niekompletna. Każdy klient mający dostęp do serwera Kyuubi przez protokoły frontendowe może ominąć konfigurację serwera kyuubi.session.local.dir.allowlist za pomocą aliasów konfiguracyjnych Spark bez prefiksu. Problem dotyczy wersji od 1.6.0 przed 1.12.0.
- CVE-2026-23904Wysokie
Kyuubi Engine UI proxy akceptuje host i port z ścieżki żądania i przekierowuje żądania HTTP do tego miejsca. Zdalny atakujący z dostępem sieciowym do proxy może wysyłać żądania HTTP do dowolnych osiągalnych hostów, co prowadzi do SSRF lub zachowania otwartego proxy.
Oryginalny opis (angielski, źródło NVD)
Apache Kyuubi REST batch multipart upload handling uses the client-supplied multipart filename when creating a temporary uploaded resource. A remote attacker who can access the REST batch upload endpoint can provide path traversal sequences in the filename and cause the Kyuubi server process to write controlled content outside the intended upload directory, subject to filesystem permissions. This issue affects Apache Kyuubi: from 1.7.0 through 1.11.1. Users are recommended to upgrade to version 1.12.0, which fixes the issue.